11月9日，駭客奪取了 Ethersphere 軟體發布系統的控制權，並利用它透過 bee-js 13.3.0——Ethersphere 用於 Swarm 去中心化儲存網路的 JavaScript 用戶端函式庫——以及 Swarm Desktop 0.56.2（執行 Bee 節點的桌面應用程式）散布惡意軟體。這段惡意程式碼專門搜尋 Bee 節點錢包私鑰，使攻擊者得以存取受影響的裝置。受污染的 bee-js 套件在 npm（JavaScript 套件的主要註冊中心）上停留了約 75 分鐘，而遭入侵的 Swarm Desktop 發布版本則在線上持續了近八個半小時。

經簽署、有溯源，卻仍是惡意軟體

這次入侵特別令人擔憂，因為這些惡意軟體看起來完全合法。網路安全公司 Socket 證實，bee-js 帶有有效的 SLSA 溯源資訊——即「軟體構件供應鏈等級」框架，用於記錄建置的產生方式——而 Swarm Desktop 的 macOS 安裝程式已經過簽署並獲得 Apple 公證，並為 Apple Silicon 和 Windows 使用者提供自動更新支援。這些檢查驗證了軟體的來源，但無法保證其安全性。

攻擊者將惡意程式碼植入受信任的工作流程中。Socket 將該事件與遭入侵的 GitHub 帳號聯繫起來，包括發布機器人 bee-worker，但該存取權限如何取得仍不得而知。

載入器竊取了什麼

StepSecurity 發現，攻擊者修改了 scripts/generate-version.cjs，以從 api.frameworkmetrics[.]xyz 下載惡意程式碼。當開發者安裝 bee-js 13.3.0 時，該腳本會自動執行，即使他們從未使用過該函式庫。

該惡意軟體接著搜尋兩個檔案：config.yaml 和 data-dir/keys/swarm.key。前者包含解鎖後者中加密錢包金鑰所需的密碼。取得這兩個檔案後，攻擊者便能控制 Bee 節點錢包。

該惡意軟體還安裝了後門以維持遠端存取。在 Windows 上，它部署了商用遠端存取工具 ScreenConnect；在 Linux 和 macOS 上，後門則偽裝成合法的 Solidity 開發工具。

與 SleepyDuck 相同的錢包

Socket 發現，該惡意軟體利用以太坊合約 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 來定位其命令與控制伺服器。Pluto Security 先前已將同一合約與透過假的 Solidity 擴充套件散布惡意軟體的 SleepyDuck 和 EtherDuck 攻擊行動聯繫起來。

然而，這次攻擊者採取了不同的路徑：入侵 Ethersphere 的正版軟體發布，而非誘騙開發者下載假軟體。這種手法類似於 Cryptopolitan 先前報導的 npm 供應鏈攻擊，當時駭客透過 Arweave 的 WeaveDB 專案套件散布惡意軟體。

營運者現在需要做什麼

在兩份官方公告（1、2）中，Ethersphere 確認這兩個發布版本皆為惡意。維護者 darkobas2 在一份復原 pull request 中表示，0.56.2「是由使用被竊 CI 憑證的攻擊者建置並發布的」。乾淨的替代版本 0.56.3「與 0.56.1 程式碼相同」，並以新憑證簽署。

使用者應檢查其 Desktop 版本並安裝 0.56.3；Linux 使用者必須手動更新。任何執行過該惡意軟體的人都應隔離並重建機器、從乾淨的裝置轉移資金與質押資產，並輪替憑證。bee-js 使用者應固定使用 13.2.0 版本，因為僅更新並無法移除後門。

Socket 記錄到，截至11月9日 UTC 08:27，受污染的 Desktop 發布版本已被下載 65 次（包括研究人員），並估計 bee-js 13.3.0 被抓取約十次。這兩個數字都不是受害者人數，目前也沒有關於受感染機器或被竊資金的確認統計。在復原工作持續進行的同時，有兩個細節仍值得關注：攻擊者如何取得發布基礎設施的存取權，以及是否會出現任何經確認的損失。

全產業背景

根據 CertiK 的儀表板，錢包遭入侵在 2026 年損失金額（7.691 億美元）中排名第二，在事件數量（75 起）中排名第三。私鑰遭入侵在損失金額（1.58 億美元）中排名第五，在事件數量（47 起）中排名第四。這些數字為全產業統計，並非 Ethersphere 專屬損失。

CoinGecko 顯示，11月10日 BZZ 價格接近 0.0654 美元，但目前尚未確立任何由入侵事件引發的拋售。更廣泛的警示在於軟體信任問題：即使看似正版的更新也可能竊取金鑰。